Responsible Disclosure Policy
RMG Messtechnik GmbH
1. Einleitung
Die Sicherheit der von RMG entwickelten und betriebenen Produkte, Softwarelösungen und digitalen Dienste besitzt höchste Priorität. RMG begrüßt die verantwortungsvolle Meldung von Schwachstellen und sicherheitsrelevanten Vorfällen durch Kunden, Betreiber, Integratoren, Servicepartner, Sicherheitsforscher und Behörden.
2. Ziel dieser Richtlinie
Diese Richtlinie definiert den Prozess für die Meldung, Bearbeitung, Bewertung und Offenlegung von Schwachstellen. Ziel ist die frühzeitige Identifikation von Risiken, die Reduzierung potenzieller Auswirkungen sowie eine koordinierte Kommunikation mit Betroffenen.
3. Geltungsbereich
Die Richtlinie gilt für alle von RMG entwickelten und in Verkehr gebrachten Produkte, Firmware-Komponenten, Softwareprodukte, Webanwendungen, Kommunikationslösungen sowie digitale Dienste.
4. Meldefähige Sachverhalte
Gemeldet werden sollen Sicherheitslücken, Authentifizierungs- und Autorisierungsfehler, Rechteausweitungen, unsichere Konfigurationen, Schwachstellen in Drittkomponenten, Hinweise auf aktive Ausnutzung, Manipulationsmöglichkeiten und sonstige sicherheitsrelevante Beobachtungen.
5. Nicht über diese Meldestelle zu meldende Themen
Allgemeine Supportanfragen, Reklamationen, Garantieanfragen, Produktinformationen, Schulungsanfragen und vertriebliche Themen sind über die regulären Servicekanäle einzureichen.
6. Meldewege
RMG stellt ein Security Portal mit Webformular bereit. Zusätzlich können Meldungen an psirt@rmg.com gesendet werden. Für vertrauliche Informationen steht ein OpenPGP-Schlüssel zur verschlüsselten Kommunikation bereit.
7. Inhalte einer Meldung
Meldungen sollten nach Möglichkeit Produktname, Version, Komponentenstand, Beschreibung, Auswirkungen, Reproduktionsschritte, Logdateien, Screenshots, Proof-of-Concepts und Kontaktdaten enthalten.
8. Anonyme Meldungen
Anonyme Meldungen sind zulässig. Für Rückfragen und Abstimmungen wird jedoch die Angabe einer Kontaktmöglichkeit empfohlen.
9. Bearbeitungsprozess
RMG bestätigt den Eingang einer Meldung innerhalb von fünf Arbeitstagen. Eine erste fachliche Bewertung erfolgt innerhalb von zehn Arbeitstagen. Danach folgen technische Analyse, Risikobewertung, Entwicklung von Gegenmaßnahmen, Kundeninformation und Abschluss der Meldung.
10. Coordinated Vulnerability Disclosure
RMG unterstützt die koordinierte Offenlegung von Schwachstellen. Meldende Personen werden gebeten, eine Schwachstelle zunächst vertraulich an RMG zu melden und eine angemessene Frist zur Untersuchung und Behebung einzuräumen.
11. Erwartungen an Sicherheitsforscher
Erlaubt sind verantwortungsvolle Untersuchungen und die Bereitstellung technischer Nachweise. Nicht zulässig sind Datenmanipulationen, Datendiebstahl, Denial-of-Service-Angriffe, Social Engineering oder Beeinträchtigungen von Kundensystemen.
12. Vertraulichkeit und Datenschutz
Meldungen werden vertraulich behandelt. Personenbezogene Daten werden ausschließlich für die Bearbeitung der Meldung verwendet und entsprechend den geltenden Datenschutzvorschriften verarbeitet.
13. Security Advisories
Bestätigte Schwachstellen können durch Security Advisories veröffentlicht werden. Diese enthalten betroffene Produkte, Versionen, Risikobewertungen, Auswirkungen und empfohlene Gegenmaßnahmen.
14. Security Updates
RMG veröffentlicht Sicherheitsupdates, Firmware-Updates, Patches, Hotfixes und technische Hinweise zur Behebung bestätigter Schwachstellen.
15. Kommunikation mit Betroffenen
Abhängig von Kritikalität und Auswirkungen informiert RMG Kunden, Betreiber, Integratoren, Behörden oder weitere Stakeholder über relevante Risiken und verfügbare Schutzmaßnahmen.
16. Haftungsausschluss
Die Meldung einer Schwachstelle begründet keinen Anspruch auf Vergütung, Prämienzahlungen oder sonstige Leistungen. RMG behält sich die Bewertung und Priorisierung gemeldeter Sachverhalte vor.
17. Kontakt
Product Security Incident Response Team (PSIRT)
E-Mail: psirt@rmg.com
Security Portal: https://www.rmg.com/de/security
Security.txt: https://www.rmg.com/.well-known/security.txt
E-Mail: psirt@rmg.com
Security Portal: https://www.rmg.com/de/security
Security.txt: https://www.rmg.com/.well-known/security.txt